选择区域语言: EN CN HK

09-二层技术-以太网交换配置指导

07-二层转发配置

本章节下载  (242.96 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Security/00-Public/Configure/Operation_Manual/H3C_SecPath_CG(V7)-6W202/09/201906/1207092_30005_0.htm

07-二层转发配置


1 二层转发

1.1  配置普通二层转发

1.1.1  普通二层转发的工作机制

如果设备接收到的报文的目的MAC地址匹配三层接口的MAC地址,则通过设备的三层接口进行三层转发;否则通过设备的二层接口进行二层转发。

二层转发根据报文的目的MAC地址查找MAC地址表,得到报文的出接口,然后将报文发送出去。

普通二层转发是设备默认启用的特性,不需要配置。

1.1.2  普通二层转发显示和维护

在任意视图下执行display命令可以显示二层转发过程中的统计信息,查看转发的结果。

在用户视图下执行reset命令可以清除二层转发的统计信息。

表1-1 普通二层转发显示和维护

操作

命令

显示二层转发统计信息

display mac-forwarding statistics [ interface interface-type interface-number ]

清除二层转发统计信息

reset mac-forwarding statistics

 

1.2  配置快速二层转发

1.2.1  快速二层转发的工作机制

快速二层转发采用高速缓存来处理报文,采用了基于数据流的技术,可以大大提高转发效率。

快速二层转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中,会根据设备规则,对需要进行三层业务处理的报文,获取其IP地址等信息,生成IP快速转发表。当一条数据流的第一个报文转发后,会在高速缓存中生成相应的转发信息,该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程,减少报文的转发时间,提高报文的转发速率。

快速二层转发是设备默认启用的特性,不需要配置。

1.2.2  快速二层转发显示和维护

在任意视图下执行display命令可以显示快速二层转发表信息。

表1-2 快速二层转发显示和维护

操作

命令

显示IP快速转发表信息

display mac-forwarding cache ip [ ip-address ] [ slot slot-number ]

显示分片报文快速转发表信息

display mac-forwarding cache ip fragment [ ip-address ] [ slot slot-number ]

显示IPv6快速转发表信息

display mac-forwarding cache ipv6 [ ipv6-address ] [ slot slot-number ]

 

1.3  配置Bridge转发

1.3.1  Bridge转发工作机制

根据报文的转发特征,Bridge转发有下列几种转发模式:

·     跨VLAN模式:在不同VLAN间进行报文转发。

·     反射模式:报文从同一接口收发。

·     转发模式:报文从一个接口接收,从另一个接口发送。

·     黑洞模式:报文从一个接口接收,处理完后被丢弃。

1. 跨VLAN模式Bridge转发

跨VLAN模式Bridge转发是在数据链路层完成不同VLAN间通信的一种技术。目前这种技术主要应用在防火墙产品上。防火墙和交换机配合使用,经过交换机的二层网络流量由防火墙过滤后再进行转发,如图1-1所示。

图1-1 Bridge转发工作机制

 

图1-1,交换机上配置的防火墙的Bridge转发实例(可以看做是实现一类Bridge转发模式的二层桥)为Bridge 1,Bridge 1中添加VLAN 10和VLAN 20。以ARP(Address Resolution Protocol,地址解析协议)实现为例,Bridge转发过程如下:

VLAN 10的Host A想要访问VLAN 20的Host B,Host A发送一个ARP请求报文。

(1)     交换机收到请求报文的处理过程:

·     交换机从接口GigabitEthernet1/0/1收到目的MAC未知的报文,交换机学习到该报文的源MAC地址0033-0033-0033,并记录该MAC地址所对应的VLAN 10和接口GigabitEthernet1/0/1。

·     交换机将该报文在VLAN 10内进行广播,同时该报文会通过交换机侧内联口Ten-GigabitEthernet2/0/1(即用于连接交换机与防火墙的接口)发送给防火墙。

(2)     防火墙收到请求报文的处理过程:

·     防火墙收到该报文,将报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内,并且学习到该MAC地址对应的VLAN 10及防火墙侧内联口Ten-GigabitEthernet2/0/2。

·     同时根据Bridge 1内用户配置的VLAN列表,将该报文在Bridge 1内配置的除报文所在VLAN 10以外的所有VLAN内进行发送,即在VLAN 20内发送该报文。在VLAN 20内发送的报文的VLAN ID将被替换为VLAN 20,生成新的报文,然后发送到VLAN 20。

·     防火墙通过防火墙侧内联口Ten-GigabitEthernet2/0/2将新报文发送给交换机。

(3)     交换机收到新报文的处理过程:

·     交换机从交换机侧内联口Ten-GigabitEthernet2/0/1收到新的报文,学习该报文的源MAC地址并记录该MAC地址所对应的VLAN 20和交换机侧内联口Ten-GigabitEthernet2/0/1。

·     同时交换机将报文在VLAN 20内广播。

VLAN 20的Host B收到新报文后,发现是要访问自己的报文,发送ARP应答报文。

(4)     交换机收到应答报文的处理过程:

·     交换机从接口GigabitEthernet1/0/2收到目的MAC地址0033-0033-0033的报文,交换机学习到该报文的源MAC地址0000-0000-0002并记录该MAC地址所对应的VLAN 20和接口GigabitEthernet1/0/2。

·     交换机收到目的MAC地址为0033-0033-0033的已知报文,根据目的MAC地址和VLAN找到MAC地址表项,该表项的出接口为交换机侧内联口Ten-GigabitEthernet2/0/1,则将该报文发送给防火墙。

(5)     防火墙收到应答报文的处理过程:

·     防火墙收到回复报文,将该报文源MAC地址学习到用户配置的Bridge转发实例Bridge 1内,并且学习到该MAC地址对应的VLAN 20及防火墙侧内联口Ten-GigabitEthernet2/0/2。

·     防火墙根据VLAN 20找到对应的Bridge 1下学习到的MAC地址表项,将报文的VLAN ID修改为MAC地址表项对应VLAN ID,即VLAN 10,并从防火墙侧内联口Ten-GigabitEthernet2/0/2将该报文发送给交换机。

(6)     交换机收到新的应答报文的处理过程:

·     交换机收到该报文后,根据目的MAC地址和VLAN找到MAC地址表项,确认出接口为GigabitEthernet1/0/1,将该报文发送出去。

2. 反射/转发/黑洞模式Bridge转发

反射模式Bridge转发、转发模式Bridge转发和黑洞模式Bridge转发又统称为Inline转发。

Inline转发是在数据链路层对流量进行安全监控的一种技术。目前这种技术主要应用在安全产品上,通过QoS策略将经过设备的二层网络流量引流到安全产品上,由安全产品过滤后再进行转发。

·     反射/黑洞模式Bridge转发中,Device B与Device A通过一个物理接口通信。对于反射模式Bridge转发,Device B通过同一接口完成报文的收发;对于黑洞模式Bridge转发,Device B收到报文后,先处理完安全业务,然后丢弃该报文。反射/黑洞模式Bridge转发一般适用于Device B旁挂的组网部署,Device A可直接接入网络。反射/黑洞模式Bridge转发如下图所示。

图1-2 反射/黑洞模式Bridge转发

 

·     转发模式Bridge转发中,Device B与Device A通过两个物理接口通信,即Device B通过其中的一个接口收报文,通过另外一个接口发报文。转发模式Bridge转发一般适用于Device B直连的组网部署,Device A通过Device B接入网络。转发模式Bridge转发如下图所示。

图1-3 转发模式Bridge转发

 

在上面两图中,以VM(Virtual Machine,虚拟机)间的交互为例,Inline转发过程如下:

(1)     VM 1与VM 2的内部流量通过Device A进行通信,Device A将收到的报文引流到与之相连的Device B上。

(2)     Device B将收到的IP报文交给安全业务进行处理,其他报文直接转发给Device A。

(3)     Device B处理通过安全业务过滤的报文,根据报文信息建立对应的转发表项,并将报文转发给Device A。

1.3.2  Bridge转发配置任务简介

表1-3 Bridge转发配置任务简介

配置任务

说明

详细配置

配置跨VLAN模式Bridge转发

对于跨VLAN模式Bridge转发必选

1.3.3 

配置Inline转发

对于Inline转发必选

1.3.4 

配置Bypass功能

可选

1.3.5 

 

1.3.3  配置跨VLAN模式Bridge转发

表1-4 配置Bridge转发

操作

命令

说明

进入系统视图

system-view

-

(可选)设置MAC地址的老化时间

bridge mac-address timer aging seconds

缺省情况下,MAC的老化时间为300秒

创建跨VLAN模式Bridge转发实例,并进入Bridge视图

bridge bridge-index inter-vlan

缺省情况下,不存在Bridge转发实例

向Bridge转发实例中添加VLAN列表

add vlan vlan-id-list

缺省情况下,跨VLAN模式Bridge转发实例下不存在VLAN。

(可选)配置Bridge实例下的MAC最大学习数

mac-address max-mac-count count

缺省情况下,Bridge的MAC地址最大学习数为4096

 

1.3.4  配置Inline转发

在安全设备上配置Inline转发时,需要关闭与其连接的交换机上对应互连口的MAC地址学习功能,否则可能造成MAC地址频繁迁移。

表1-5 配置Inline转发

操作

命令

说明

进入系统视图

system-view

-

(可选)配置Inline转发时忽略报文的隧道封装

bridge tunnel-encapsulation skip

缺省情况下,Inline转发时未忽略报文的隧道封装

 

创建反射模式Bridge转发实例,并进入Bridge视图

bridge bridge-index reflect

三者选其一

缺省情况下,不存在Bridge转发实例

创建转发模式Bridge转发实例,并进入Bridge视图

bridge bridge-index forward

创建黑洞模式Bridge转发实例,并进入Bridge视图

bridge bridge-index blackhole

向Bridge转发实例中添加接口

add interface interface-type interface-number

缺省情况下,Bridge转发实例中未添加任何接口

每个反射/黑洞模式Bridge转发实例只能添加一个接口;每个转发模式Bridge转发实例只能添加两个接口,且这两个接口的类型必须保持一致

 

1.3.5  配置Bypass功能

1. 功能简介

在Inline转发模式下,配置Bypass功能,用户流量可以不经过安全业务或者安全设备处理,直接被处理。用户流量经过IPS(Intrusion Prevention System,入侵防御系统)设备,但不进行安全业务处理。IPS设备会根据配置的Inline转发模式,选择对应的接口将用户流量直接转发或者丢弃。

图1-4所示,链路正常情况下,未配置Bypass功能时,用户流量转发路径如下。

图1-4 正常情况下流量转发

 

2. 配置限制和指导

多次配置bypass enable命令,最后一次执行的配置生效。

3. 配置Bypass功能

表1-6 配置Bypass功能

操作

命令

说明

进入系统视图

system-view

-

进入反射模式Bridge视图

bridge bridge-index reflect

三者选其一

进入转发模式Bridge视图

bridge bridge-index forward

进入黑洞模式Bridge视图

bridge bridge-index blackhole

配置Bypass功能

bypass enable

缺省情况下,Bypass功能处于关闭状态

 

1.3.6  跨VLAN模式Bridge转发典型配置举例

1. 组网需求

由交换机GigabitEthernet1/0/1、GigabitEthernet1/0/2互相交换的不同VLAN的报文需要经过防火墙过滤,采用交换机和防火墙组合的方案较为经济、灵活。在这个方案中采用跨VLAN模式Bridge二层转发技术,如图1-5所示。

2. 组网图

图1-5 跨VLAN模式Bridge转发组网图

 

3. 配置步骤

# 配置防火墙。

<Sysname> system-view

[Sysname] bridge 2 inter-vlan

[Sysname-bridge2-inter-vlan] add vlan 10 20

[Sysname-bridge2-inter-vlan] quit

# 配置交换机。

<Sysname> system-view

[Sysname] interface gigabitethernet 1/0/1

[Sysname-GigabitEthernet1/0/1] port access vlan 10

[Sysname] interface gigabitethernet 1/0/2

[Sysname-GigabitEthernet1/0/2] port access vlan 20

[Sysname-GigabitEthernet1/0/2] quit

4. 验证配置

# 在防火墙上执行display bridge mac-address命令可以看到Bridge转发学习到的MAC地址表项。

[Sysname] display bridge mac-address 2

MAC Address      BRIDGE ID  State        VLAN ID  Port            Aging

0033-0033-0033   2          Learned      10       GE1/0/1         Y

0000-0000-0002   2          Learned      20       GE1/0/2         Y

1.3.7  反射模式Bridge转发典型配置举例

1. 组网需求

Device A上VM1与VM2互相交换的报文需要经Device B过滤。Device B上通过一个接口GigabitEthernet1/0/1与Device A相连。在这个方案中采用反射模式Bridge转发技术,如图1-6所示。

2. 组网图

图1-6 反射模式Bridge转发组网图

 

3. 配置步骤

(1)     在Device A上配置QoS策略,将VM1和VM2间的流量引流到Device B。并关闭与Device B互连接口上的MAC地址学习功能。

# 定义IPv4高级ACL 3001,并为其创建如下规则:匹配源IP为1.1.1.2、目的IP为1.1.1.3的数据包。

[DeviceA] acl advanced 3001

[DeviceA-acl-ipv4-adv-3001] rule permit ip source 1.1.1.2 0 destination 1.1.1.3 0

[DeviceA-acl-ipv4-adv-3001] quit

# 定义类classifier1,匹配ACL 3001。

[DeviceA] traffic classifier classifier1

[DeviceA-classifier-classifier1] if-match acl 3001

[DeviceA-classifier-classifier1] quit

# 定义IPv4高级ACL 3002,并为其创建如下规则:匹配源IP为1.1.1.3、目的IP为1.1.1.2的数据包。

[DeviceA] acl advanced 3002

[DeviceA-acl-ipv4-adv-3002] rule permit ip source 1.1.1.3 0 destination 1.1.1.2 0

[DeviceA-acl-ipv4-adv-3002] quit

# 定义类classifier2,匹配ACL 3002。

[DeviceA] traffic classifier classifier2

[DeviceA-classifier-classifier2] if-match acl 3002

[DeviceA-classifier-classifier2] quit

# 定义流行为behavior1,动作为重定向Device B。

[DeviceA] traffic behavior behavior1

[DeviceA-behavior-behavior1] redirect interface gigabitethernet 1/0/3

[DeviceD-behavior-behavior1] quit

# 定义策略policy1,并为类classifier1指定流行为behavior1。

[DeviceA] qos policy policy1

[DeviceA-qospolicy-policy1] classifier classifier1 behavior behavior1

[DeviceA-qospolicy-policy1] quit

# 定义策略policy2,并为类classifier2指定流行为behavior1。

[DeviceA] qos policy policy2

[DeviceA-qospolicy-policy2] classifier classifier2 behavior behavior1

[DeviceA-qospolicy-policy2] quit

# 将策略policy1应用到接口GigabitEthernet1/0/1的入方向上。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] qos apply policy policy1 inbound

[DeviceA-GigabitEthernet1/0/1] quit

# 将策略policy2应用到接口GigabitEthernet1/0/2的入方向上。

[DeviceA] interface gigabitethernet 1/0/2

[DeviceA-GigabitEthernet1/0/2] qos apply policy policy2 inbound

[DeviceA-GigabitEthernet1/0/2] quit

# 关闭Device A上接口GigabitEthernet1/0/3的MAC地址学习功能。

[DeviceA] interface gigabitethernet 1/0/3

[DeviceA-GigabitEthernet1/0/3] undo mac-address mac-learning enable

(2)     在Device B上配置反射模式Bridge转发。

# 在Device B上创建反射模式的Bridge转发实例,并向该实例添加接口GigabitEthernet1/0/1。

<DeviceB> system-view

[DeviceB] bridge 2 reflect

[DeviceB-bridge2-reflect] add interface gigabitethernet 1/0/1

[DeviceB-bridge2-reflect] quit

4. 验证配置

# 在Device B上执行display bridge cache ip命令可以看到反射模式Bridge转发创建的IP快速转发表信息。

[DeviceB] display bridge cache ip

Total number of bridge-forwarding entries: 2

SIP             SPort DIP             DPort Pro Output_If

1.1.1.3         470   1.1.1.2         0     1   GE1/0/1

1.1.1.2         470   1.1.1.3         2048  1   GE1/0/1

1.4  配置快速Bridge转发

1.4.1  快速Bridge转发的工作机制

快速Bridge转发采用高速缓存来处理报文,采用了基于数据流的技术,可以大大提高转发效率。

快速Bridge转发用源IP地址、源端口号、目的IP地址、目的端口号、协议号、输入接口、输出接口和VLAN来标识一条数据流。在二层转发过程中,会根据设备规则,对需要进行三层业务处理的报文,获取其IP地址等信息,生成IP快速转发表。当一条数据流的第一个报文转发后,会在高速缓存中生成相应的转发信息,该数据流后续报文的转发就可以通过直接查找快速转发表进行转发。这样便大大缩减了报文的排队流程,减少报文的转发时间,提高报文的转发速率。

快速Bridge转发是设备默认启用的特性,不需要配置。

1.4.2  快速Bridge转发显示和维护

在任意视图下执行display命令可以显示快速Bridge转发表信息。

表1-7 快速Bridge转发显示和维护

操作

命令

显示Bridge转发创建的IP快速转发表信息

display bridge cache ip  inline  [ ip-address ] [ slot slot-number ]

显示Bridge转发创建的分片报文快速转发表信息

display bridge cache ip fragment inline [ ip-address ] [ slot slot-number ]

显示Bridge转发创建的IPv6快速转发表信息

display bridge cache ipv6 inline  [ ipv6-address ] [ slot slot-number ]

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!